హబ్‌లో WireGuard పీర్ గ్రూపులు: మూల యాజమాన్యం మరియు విధానం
ప్రతి పీర్‌కు సన్నని మూల చిరునామాలు మరియు ఫార్వర్డ్ విధానంతో పీర్ గ్రూపులను వేరుగా ఉంచండి, ప్రతి గ్రూపుకు ప్రత్యేక టన్నెల్ ఇంటర్‌ఫేస్ లేకుండా.
WireGuard నడిపే హబ్ ప్రతి గ్రూపుకు ప్రత్యేక ఇంటర్‌ఫేస్ లేదా రూటింగ్ పట్టిక లేకుండా పీర్ గ్రూపులను వేరుగా ఉంచగలదు. రెండు యంత్రాంగాలు ఈ పని చేస్తాయి, వాటిని కలిపేయడమే విధానం సరిగ్గా కనిపించి ఏమీ చేయకపోవడానికి సాధారణ కారణం. ఒక పొర ఎవరు మూల చిరునామాను క్లెయిమ్ చేయవచ్చో నిర్ణయిస్తుంది. మరొకటి ఆ ప్యాకెట్ ఎక్కడికి వెళ్లవచ్చో నిర్ణయిస్తుంది.
రెండు పనులు, వేరుగా ఉంచబడ్డాయి
టన్నెల్ పొర ఒక సన్నని ప్రశ్నకు సమాధానం ఇస్తుంది: ఈ పీర్ కీ ఈ లోపలి మూల చిరునామాకు అధికారం ఇచ్చిందా. ఫార్వర్డింగ్ పొర మరింత విస్తృతమైన దానికి సమాధానం ఇస్తుంది: ఈ ప్యాకెట్ ఆ గమ్యం వైపు వెళ్లవచ్చా. ఏదీ మరొకదాని ప్రశ్నకు సమాధానం ఇవ్వదు, ఏదీ ఒంటరిగా పూర్తి యాక్సెస్ విధానం కాదు.
ఈ విభజన వల్లనే పీర్ ధృవీకరించబడి, సరైన చిరునామాతో ఉన్నా చేరకూడని హోస్ట్‌ను చేరుకోలేకపోవచ్చు. ఇది వ్యతిరేకతను కూడా వివరిస్తుంది: అన్నింటినీ అనుమతించే ఫైర్‌వాల్ నియమం ఎవరు ఏ చిరునామాను క్లెయిమ్ చేయవచ్చో దాని గురించి ఏమీ నిరూపించదు.
రెండు పొరలను కలిసి రూపకల్పన చేయండి, ఆపై రెండింటినీ పరీక్షించండి. ఒక పొరలో సరైనది మరొకదానిలో పరీక్షించనిది అయిన కాన్ఫిగరేషన్ డిఫాల్ట్ ఆధారంగా తెరిచిన లేదా మూసిన విధంగా విఫలమవుతుంది.
ప్రతి పీర్‌కు దాని స్వంత చిరునామాను మాత్రమే ఇవ్వండి
బహుళ-హోస్ట్ పీర్‌లు సర్వర్ వైపు మొత్తం గ్రూప్ పరిధిని ఇవ్వమని మిమ్మల్ని ప్రేరేపిస్తాయి. ఆ అనుమతి మూల-చిరునామా క్లెయిమ్, కాబట్టి రాజీపడిన లేదా తప్పుగా కాన్ఫిగర్ చేయబడిన క్లయింట్ పరిధిలోని ఏ చిరునామానైనా ప్రదర్శించగలదు మరియు టన్నెల్ దాన్ని అంగీకరిస్తుంది. తన స్వంత లోపలి చిరునామా కోసం ప్రతి పీర్‌కు /32 కేటాయించండి. గ్రూప్ పరిధులను క్లయింట్లలో మాత్రమే సెట్ చేయండి, అక్కడ అవి ఆ క్లయింట్ చేరుకోగల గమ్యాలను వివరిస్తాయి, ఉపయోగించగల మూలాలను కాదు.
అప్పుడు ఫైర్‌వాల్ నమ్మగల మూలంతో సరిపోలుస్తుంది. గ్రూప్ పరిధి కోసం రాసిన నియమం ఇప్పటికీ ఉపయోగకరమైన సమూహీకరణ, ఏ ఒక్క పీర్ మరొక సభ్యునికి చెందిన చిరునామాను క్లెయిమ్ చేయలేనప్పుడు మాత్రమే అది అర్థవంతమవుతుంది.
గ్రూపులను వేరు చేసే ఫార్వర్డ్ విధానాన్ని రాయండి
ఇక్కడ ఆసక్తికరమైన ట్రాఫిక్ అదే టన్నెల్ ఇంటర్‌ఫేస్ ద్వారా లోపలికి వచ్చి బయటకు పోతుంది, కాబట్టి ఇది హోస్ట్ ఇన్‌పుట్ మార్గాన్ని కాదు, ఫార్వర్డ్ మార్గాన్ని దాటుతుంది. నియమాలు హోస్ట్‌ను కలిగి ఉన్న ఏ ఫైర్‌వాల్ మేనేజర్ యొక్క ఉన్న ఫార్వర్డ్ చైన్‌లో చేరతాయి, అవి పూర్తి నియమ సముదాయం కాదు, శకలాలు.
iifname "wg0" oifname "wg0" ip saddr 10.66.10.0/24 ip daddr 10.66.10.0/24 accept iifname "wg0" oifname "wg0" ip saddr 10.66.20.0/24 ip daddr 10.66.20.0/24 accept iifname "wg0" oifname "wg0" drop
మొదటి రెండు నియమాలు ప్రతి గ్రూప్ లోపల ట్రాఫిక్‌ను అనుమతిస్తాయి. చివరిది ఆ ఇంటర్‌ఫేస్ దాటే మిగతా అన్నింటినీ నిరోధిస్తుంది, అదే గ్రూపుల మధ్య వేర్పాటును సృష్టిస్తుంది. అవసరమైతే మరొక చిరునామా కుటుంబానికి స్పష్టమైన నియమాలను జోడించండి, ఎందుకంటే IPv4 కోసం రాసిన drop IPv6 ప్రవర్తనను అనుమతించదు లేదా వివరించదు.
విధానం వర్తిస్తుందా లేదా అని క్రమం నిర్ణయిస్తుంది
నియమాల క్రమం శకలం కంటే ముఖ్యమైనది. స్థాపిత కనెక్షన్లను అంగీకరించే సాధారణ నియమం ఈ ఎంట్రీలకు ముందు ఉంటే పాత అంతర్-గ్రూప్ ప్రవాహం కొనసాగుతుంది, కాబట్టి వేర్పాటు కొత్త కనెక్షన్లకు మాత్రమే వర్తిస్తుంది. మళ్లీ లోడ్ చేయడానికి ముందు ఈ రెండు ఫలితాల్లో ఏది కావాలో నిర్ణయించుకోండి.
అంగీకార తీర్పు కూడా ఒకే హుక్‌లో చైన్ల మధ్య ఎప్పుడూ తుది కాదు. మరొక ఆధార చైన్ తర్వాత నడిస్తే, ప్రభావవంతమైన విధానం కలయిక, కాబట్టి మీరు సవరించిన ఫైల్ కాదు, కౌంటర్లను పరిశీలించండి. కౌంటర్లు అందుబాటులో ఉన్న చౌకైన సాక్ష్యం. ప్యాకెట్ గణన లేని నియమం సరిపోలదు, సరిపోలే నియమం తర్వాతి చైన్ అంగీకరిస్తున్నప్పుడు drop తప్పు స్థలంలో ఉందని మీకు చెబుతుంది.
ఫైల్ సంఖ్యను కాదు, మ్యాట్రిక్స్‌ను పరీక్షించండి
ఆశించిన ఫలితాల చిన్న మ్యాట్రిక్స్ నిర్మించి ప్రతి సెల్‌ను తనిఖీ చేయండి. గ్రూప్ A నుండి గ్రూప్ A కు పని చేయాలి, గ్రూప్ B నుండి గ్రూప్ B కు పని చేయాలి, A నుండి B కు పని చేయకూడదు, రెండు దిశలలో మరియు మీరు మద్దతు ఇస్తే రెండు చిరునామా కుటుంబాలకు.
nft list ruleset wg show wg0 allowed-ips ping -c 2 10.66.10.5 conntrack -L -s 10.66.20.7 2>/dev/null | head
మొదటి రెండు ఏమి కాన్ఫిగర్ చేయబడిందో చూపిస్తాయి. తప్పు గ్రూప్ సభ్యుని నుండి ping వాస్తవంగా ఏమి జరుగుతుందో చూపిస్తుంది. conntrack జాబితా పాత ప్రవాహం ఇంకా అంగీకరించబడుతోందా చూపిస్తుంది, వేర్పాటు మార్పు నిశ్శబ్దంగా అమలులోకి రాకపోవడం ఇలాగే జరుగుతుంది.
హబ్‌లోని హోస్ట్ సేవలు మరియు దాని వెనుక ఉన్న LAN కి ప్రవేశం వేరే విధానంతో వేరే మార్గాలు. మ్యాట్రిక్స్ వాటిలో ఏది కవర్ చేస్తుందో నమోదు చేయండి, ఎందుకంటే పీర్-నుండి-పీర్ ట్రాఫిక్‌ను మాత్రమే తనిఖీ చేసే పరీక్ష వాటిలో ఏదాని గురించీ ఏమీ చెప్పదు.